IPTable'ları yalnızca SSH'ye izin verecek ve içeri veya dışarı başka trafiğe izin vermeyecek şekilde nasıl yapılandırabilirsiniz ?
Herkesin önerebileceği herhangi bir güvenlik önlemi var mı?
GoDaddy'den başarıyla taşındığına inandığım bir sunucum var ve artık kullanımda olmadığına inanıyorum .
Ama emin olmak istiyorum çünkü ... asla bilemezsin. :)
Bu GoDaddy sanal bir sunucu olduğunu unutmayın ... Bu hiçbir yedekleme ve neredeyse hiç destek anlamına gelir.
Yanıtlar:
INPUT ve OUTPUT zincirlerinde DROP olarak varsayılan ilkeyi ayarlamanız yeterlidir.
SSH'ye izin vermek için aşağıdaki komutlara ihtiyacınız vardır:
$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
Son iki komut, bazı uygulamaların düzgün çalışması için gerekli olduğundan geri döngü trafiğine izin verir. -s source_ipSeçeneği kullanarak SSH erişimini belirli IP'den kısıtlayabilirsiniz .
Komutları yukarıda gösterildiği gibi yürütmek, geçerli SSH oturumunuzun askıda kalmasına neden olur. Bunun nedeni iptables komutlarının hemen etkili olmasıdır. Uzaktan çalıştırırken makinenize bağlanma yeteneğini kaybetmemek için bunları bir kabuk komut dosyasında yürütmeniz gerekir.
Bunun gibi bir şey:
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT # or iptables -P INPUT DROP
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP
-i loistemiyorsun -s lo; yine, sadece ESTABLISHEDdevlet kurallarında gereklidir ve muhtemelen orada da bir tane olmalıdır --sport 22. Neden herkes izin vermek istiyor RELATED?
RELATED: Aslında ping yanıtları ve DNS yanıtları gibi TCP olmayan şeyleri eşleştirmek için kullanışlıdır. En azından, hep böyle varsaymıştım.
--state RELATEDson kuralda gereksizdir;--state ESTABLISHEDyeterlidir. DNS trafiğine de izin vermek isteyebilirsiniz ve muhtemelen geri döngü arabiriminde herhangi bir şeye izin vermelisiniz, aksi takdirde her türlü şey tuhaf davranabilir.